Как исправить ошибку 500 при запросе nginx к fastcgi в yii2?

Question

[Programep]

Подскажите пожалуйста в чем может быть причина ошибки (скопировал из nginx/error.log):

connect() failed (111: Connection refused) while connecting to upstream, client: [ip], server: localhost, request: "GET /test.php HTTP/1.1", upstream: "fastcgi://127.0.0.1:9000", host: "[ip]"

В логах php-fpm ошибки не пишутся.
В конфиге php-fpm указал параметру listen значение: 127.0.0.1:9000
В кофиге nginx для обработки php указал:

location ~ \.php$ {
        include fastcgi_params;
        fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
        fastcgi_pass 127.0.0.1:9000;
        try_files $uri =404;
    }

OC: Centos.
nginx/1.12.2 устанавливал из репозипотория.
php-fpm собирал из исходников.
Конфиг для php брал из рекомендаций к фреймворку yii2

Answer 1

[Arman]

перегружали php-fpm? на unix-сокетах такая же история?

Comments

[Programep]

перегружал. на unix-сокетах не пробовал, потому что на форумах пишут что лучше через порт. На домашнем компьютере все работает, но ОС другая - Debian. А тут centos.

[Игорь Воротнёв]

Programep,

на форумах пишут что лучше через порт

Аматоры пишут. Через сокеты быстрее и выше throughput. Выбирать Socket vs TCP нужно только по одному принципу:

- если серверов/бекендов планируется много, балансировка нагрузки, все такое - тогда только TCP, ибо сокеты актуальны только в рамках одного сервера

- если сервер один, Nginx и PHP-FPM на нем рядом - только сокет.

[Programep]

Игорь Воротнёв, с сокетами попробую, как время будет. Но вопрос почему же в такой конфигурации на одном компьютере работает, а на другом нет?

[Игорь Воротнёв]

Programep, потому что сокет - это файл. А там где файл - там владельцы, группы и права. В 9 случаях из 10 Nginx и PHP-FPM под разными юзерами, грубо говоря Nginx не имеет права читать и/или писать в файл сокета.

[Programep]

Игорь Воротнёв, в общем проблема была в том что нехватало модуля в сборке php-fpm, а потом прав. В nginx лог yii ошибку не пишет пока не выставить:
defined('YII_DEBUG') or define('YII_DEBUG', true);
Соответственно, после пересборки и установки необходимых прав на папку assets все заработало.

В 9 случаях из 10 Nginx и PHP-FPM под разными юзерами, грубо говоря Nginx не имеет права читать и/или писать в файл сокета.

Подскажите, пожалуйста, как правильно делать:
1. php-fpm и nginx должны работотать под разными пользователями?
2. какие и кому права давать на папки/файлы в html/*
3. Сейчас у меня nginx и php-fpm работают под www-data, потому что не смог решить проблемы с доступами на запись к папке assets фреймворка yii2 - nginx ругался (так как php-fpm работал от www-data, а nginx от nginx пользователя). Правильно ли это?
4. Для папки assets сделал владельцем www-data и назначил права 0760. Правильно ли это?

[Игорь Воротнёв]

1. php-fpm и nginx должны работотать под разными пользователями?

Обычно это один пользователь, например www-data. Впрочем, можно настраивать комбинацию пользователи/группа. Кому как больше нравится, да и ситуации разные бывают.

2. какие и кому права давать на папки/файлы в html/*

755 на папки, 644 на файлы, на те файлы которые содержат важные данные (например, конфиги) можно 600. Но владелец файлов должен быть сервер (или опять же, группа - но тогда и комбинация прав зависит от требований). В самом простом и понятном варианте владелец файлов все тот же www-data

3. Сейчас у меня nginx и php-fpm работают под www-data, потому что не смог решить проблемы с доступами на запись к папке assets фреймворка yii2 - nginx ругался (так как php-fpm работал от www-data, а nginx от nginx пользователя). Правильно ли это?

Да, это правильно и нормально.

4. Для папки assets сделал владельцем www-data и назначил права 0760. Правильно ли это?

За права владельца отвечает цифра 7, а это полные права. 6 - это права для группы, и 6 - это чтение+запись, для группы это не обязательно (впрочем, конфигурации и задачи разные бывают, например ваш собственный пользователь может быть членом группы www-data). А вот последняя цифра - это "world" (все остальные), и для них нужно чтение и исполнение, чтобы в папку попасть. То есть, цифра 5 (read+execute). Смотрите ответ на вопрос №2 - оптимальные права на папку 755 (группа и мир могут читать и заходить, владелец может все).

[Programep]

Игорь Воротнёв, спасибо за подробный ответ! Только пока не понял для чего может понадобиться устанавливать права 5 (read+execute) для world.

[Игорь Воротнёв]

Programep, execute (x) для директорий необходим, потому что он наследуется всеми файлами и директориями внутри. Если вам нужен доступ к чему-нибудь внутри (файлу или директории), независимо от их индивидуальных прав, корневая директория должна содержать права на выполнение. Это специфика именно директорий.

Вот тут подробнее:

https://unix.stackexchange.com/questions/21251/exe...
https://wiki.archlinux.org/index.php/File_permissi...

Answer 2

[Programep]

Проблема была в том что нехватало модуля в сборке php-fpm, а потом прав. В nginx лог yii ошибку не пишет пока не выставить:
defined('YII_DEBUG') or define('YII_DEBUG', true);
Соответственно, после пересборки и установки необходимых прав на папку assets все заработало.